De NIS2-richtlijn heeft als doel om de digitale weerbaarheid van organisaties structureel te verbeteren. De richtlijn is bedoeld om de impact van cyberincidenten te verkleinen en de continuïteit van essentiële diensten beter te beschermen. Voor veel organisaties betekent NIS2 een flinke aanscherping van bestaande eisen op het gebied van informatiebeveiliging en risicomanagement.
NIS2 staat voor Network and Information Security Directive 2. De NIS2-richtlijn is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016. Waar de eerste richtlijn zich vooral richtte op een beperkte groep vitale aanbieders, heeft NIS2 een veel bredere reikwijdte. Meer sectoren en meer organisaties vallen onder de nieuwe verplichtingen.
Met de NIS2-wetgeving wil de Europese Unie de digitale weerbaarheid verhogen in een tijd waarin cyberdreigingen toenemen, ketens steeds complexer worden en digitale afhankelijkheid groeit. De richtlijn stelt daarom strengere eisen aan onder andere:
NIS2 is geen technische norm, maar een wettelijk kader. Organisaties moeten zelf aantonen dat zij passende maatregelen hebben getroffen om cyberrisico’s te beheersen.
NIS2 is van toepassing op organisaties die actief zijn in zogenoemde essentiële en belangrijke sectoren. Daarbij wordt niet alleen gekeken naar de sector, maar ook naar de omvang van de organisatie.
In grote lijnen geldt de NIS2-wetgeving voor organisaties die:
De richtlijn maakt onderscheid tussen:
Voor beide groepen gelden grotendeels dezelfde inhoudelijke verplichtingen, maar het toezicht en de handhaving verschillen.
Veel organisaties realiseren zich nog niet dat zij onder NIS2 vallen. Zeker bedrijven die onderdeel zijn van een keten met vitale partijen, krijgen indirect ook te maken met strengere eisen.
NIS2 verplicht organisaties om cybersecurity structureel en aantoonbaar te organiseren. Het gaat nadrukkelijk verder dan het treffen van losse technische maatregelen.
Belangrijke verplichtingen van de NIS2-richtlijn zijn onder andere:
Organisaties moeten risico’s voor hun netwerk- en informatiesystemen in kaart brengen en passende maatregelen treffen. Dit omvat onder meer:
Cyberincidenten met grote impact moet je binnen 24 uur melden bij de toezichthouder en het Nationaal Cyber Security Centrum (NCSC). Organisaties moeten daarom beschikken over:
NIS2 legt expliciet aandacht op risico’s in de toeleveringsketen. Dat betekent dat organisaties:
Het management en bestuur zijn onder NIS2 expliciet verantwoordelijk voor cybersecurity. Zij moeten:
De NIS2-richtlijn is in 2023 vastgesteld en wordt door EU-lidstaten vertaald naar nationale wetgeving. In Nederland gebeurt dit via de Cyberbeveiligingswet, waarschijnlijk in het tweede kwartaal van 2026. De wet wordt eerst nog behandeld door de Tweede en Eerste Kamer.
Hoewel de exacte ingangsdatum van de NIS2-wetgeving dus nog niet vaststaat, is wel duidelijk dat organisaties nu al moeten starten met voorbereiden. Cyberweerbaarheid opbouwen, processen inrichten en beleid organiseren kost tijd — en wordt onder NIS2 actief getoetst.
Wil je in één dag overzicht, richting en een concreet plan voor NIS2 voor jouw organisatie? Via onze NIS2 kick-off helpen we je op weg. We starten de dag met een NIS2-training en in het tweede deel gaan we in op NIS2 in de praktijk.
Wanneer je niet voldoet aan de NIS2-wetgeving vanaf het moment dat dit in Nederland verplicht is, loopt je organisatie verschillende risico's:
NIS2 schrijft niet voor hoe organisaties hun beveiliging precies moeten inrichten. Normen zoals ISO 27001 en NEN 7510 (gericht op de zorgsector) bieden hiervoor een praktisch en internationaal erkend kader.
ISO 27001 helpt organisaties bij:
Goed om te weten: ISO 27001 en NEN 7510 vormen voor veel organisaties een goede basis om aan de wettelijke eisen van NIS2 te voldoen. Maar het is niet altijd voldoende. Onze NIS2-experts kijken graag mee of er aanvullende maatregelen nodig zijn.
NIS2 vraagt om een duidelijke aanpak: beleid, techniek en processen moeten op elkaar aansluiten. Kader ondersteunt organisaties bij het inzichtelijk maken van hun NIS2-verplichtingen en het structureel verbeteren van hun cyberweerbaarheid.
De NIS2-experts van Kader kunnen:
Zo wordt de NIS2-wetgeving niet alleen een verplichting, maar een kans om de digitale weerbaarheid in jouw organisatie duurzaam te versterken.
De NIS2-richtlijn stelt strengere eisen aan de cyberbeveiliging van organisaties in vitale sectoren. Sinds 17 oktober 2024 is de richtlijn van kracht in de EU, binnenkort geldt de wet ook in Nederland. Veel organisaties zijn hier nog onvoldoende op voorbereid – met risico op verlies van klanten en omzet. Download de brochure en ontdek wat NIS2 voor jouw organisatie betekent.
